ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
إن GPUStack هو مدير عناقيد وحدات معالجة رسومية مفتوح المصدر لخدمة نماذج الذكاء الاصطناعي وتوفير مثيلات وحدات المعالجة الرسومية. قبل الإصدار 2.2.0، كانت دالة get_current_user في المسار gpustack/api/auth.py تتعامل مع مصدر طلب الحلقة المحلية كالمسؤول المدمج عندما كانت قيمة force_auth_localhost تساوي خطأ، وهي القيمة الافتراضية. يمكن أن يبدو الطلب عن بُعد وكأنه صادر من 127.0.0.1 لأن دالة client_ip_getter قبلت نظير وكيل عكسي لنفس المضيف أو قيمة حلقة محلية X-GPUStack-Real-IP يفرها العميل. سمح هذا التجاوز بالوصول الإداري دون مصادقة، بما في ذلك تغييرات المستخدمين والنماذج، وإنشاء مفتاح API إضافي للمسؤول بشكل دائم، والكشف عن أسرار العمال ومزودي الخدمات السحابية، وتنفيذ الشيفرات عبر طلب POST /v2/inference-backends/from-yaml. لوحظ استغلال هذه الثغرة ميدانياً ضد نشر للإصدار 2.1.1. تم إصلاح هذه المشكلة في الإصدار 2.2.0.